Le calendrier a bougé, pas l'obligation : les systèmes RH et crédit devront être enregistrés dans la base de données européenne avant leur mise en service. Voici la méthode pour remplir ce registre sans exposer l'entreprise à un rejet ou à une sanction du marché.
Beaucoup d'équipes conformité ont relâché la pression sur le registre européen des systèmes d'IA à haut risque après l'annonce du report de calendrier. C'est une erreur de lecture. Le Digital Omnibus sur l'IA n'est plus en suspens : le règlement (UE) 2026/1744 fixe les échéances principales pour les systèmes à haut risque au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour les systèmes de l'annexe I, et il a été publié au Journal officiel le 24 juillet 2026.
Pour un système RH de recrutement ou un moteur de scoring crédit, cela signifie une chose précise : si votre organisation utilise des systèmes d'IA relevant de l'annexe III (IA de recrutement, scoring crédit ou catégorisation biométrique, par exemple), l'échéance est fixée au 2 décembre 2027. Le report ne dispense de rien. L'extension est purement temporelle : aucune obligation n'est supprimée. La même évaluation de conformité, la même documentation technique, le même système de gestion de la qualité, le même marquage CE et le même enregistrement s'appliquent, simplement aux nouvelles dates.
Le délai supplémentaire n'est donc pas un répit, c'est une fenêtre de préparation. La conformité, le système de gestion de la qualité, la documentation technique et l'enregistrement dans la base de données UE nécessitent entre douze et vingt-quatre mois de préparation. Pour un système RH ou crédit déjà en production, le compte à rebours a déjà commencé.
Le registre n'est pas une simple formalité déclarative. L'article 71 de l'AI Act crée cette base de données de l'UE pour les systèmes d'IA à haut risque, gérée par la Commission européenne. Cette base de données est accessible au public et contient les informations enregistrées conformément à l'article 49. Concrètement, un client, un candidat refusé à l'embauche ou une association de défense des droits peut consulter la fiche d'un système et vérifier sa situation réglementaire.
L'obligation pèse d'abord sur le fournisseur. L'article 49 du AI Act impose aux fournisseurs de systèmes d'IA à haut risque d'enregistrer leur système et eux-mêmes dans la base de données de l'UE prévue à l'article 71, avant la mise sur le marché ou la mise en service du système. Mais les déployeurs ne sont pas exemptés dans tous les cas : la base est alimentée par les fournisseurs et, pour certaines informations, par les déployeurs de systèmes d'IA à haut risque ; l'article 49, paragraphe 3, impose aux déployeurs qui sont des autorités publiques, des institutions, organes ou organismes de l'Union, ou des personnes agissant en leur nom, leur propre obligation d'enregistrement. Une entreprise privée qui déploie un outil de scoring crédit acheté auprès d'un éditeur n'a donc pas systématiquement à s'enregistrer elle-même, mais doit vérifier que le fournisseur l'a fait et que les informations correspondent à l'usage réel.
Deux exceptions changent le circuit à suivre, et elles sont souvent oubliées en pratique. D'une part, les systèmes utilisés dans les infrastructures critiques (annexe III, point 2) s'enregistrent au niveau national selon l'article 49(5), et les systèmes utilisés en matière de police, migration, asile et contrôle aux frontières vont dans une section sécurisée et non publique de la même base de données, accessible uniquement à la Commission et aux autorités nationales. Pour un système RH ou crédit classique, ces cas ne s'appliquent pas : le circuit est bien la base centralisée de la Commission.
L'annexe VIII, section A, liste les informations que les fournisseurs doivent fournir puis tenir à jour concernant les systèmes d'IA à haut risque enregistrés en application de l'article 49, paragraphe 1. Dans le détail, il faut réunir avant de saisir quoi que ce soit :
À l'issue de la saisie, le système reçoit un identifiant unique dans la base de données de l'UE, qui devient public, sauf pour la section restreinte relative aux forces de l'ordre, à la migration et au contrôle aux frontières. Contrairement à un dépôt de marque, il n'y a pas de contrôle de fond systématique par la Commission avant publication : il n'existe pas d'étape d'« approbation » séparée de la part de la Commission pour la plupart des catégories. C'est justement ce qui rend les erreurs dangereuses : elles ne sont pas bloquées à la saisie, elles sont visibles publiquement ensuite.
Avant d'ouvrir le formulaire, l'équipe data et l'équipe juridique doivent avoir réalisé un travail préalable, sans lequel la saisie produit des données incohérentes.
Un système de tri de CV, de notation de candidats ou d'évaluation de performance salarié entre dans les catégories emploi et gestion des travailleurs de l'annexe III ; un moteur de scoring crédit entre dans la catégorie accès aux services essentiels. Annexe III couvre les usages autonomes à haut risque dans huit domaines, dont l'emploi et la gestion des travailleurs, et l'accès aux services essentiels comme le scoring crédit et l'assurance. Documentez explicitement pourquoi le système entre (ou non) dans cette catégorie : c'est ce raisonnement qui alimentera le champ « base de la classification » du registre, et qui vous protégera en cas de contrôle si vous aviez initialement classé le système hors périmètre.
La finalité prévue saisie dans le registre doit être un copier-coller fidèle, ou une reformulation strictement équivalente, de la finalité documentée dans le dossier technique de l'annexe IV. C'est le point de friction le plus fréquent : une équipe marketing écrit « optimise le recrutement », le dossier technique décrit « filtre les candidatures selon des critères pondérés de correspondance au poste ». Le décalage entre les deux formulations est le premier indice qu'un contrôleur ou un journaliste utilisera pour remettre en cause la sincérité de l'enregistrement.
N'enregistrez jamais un système « en cours d'évaluation ». Le champ conformité attend une réponse binaire et datée : évaluation interne ou tierce, date de la déclaration UE de conformité. Si votre système de scoring crédit n'a pas encore de déclaration signée, la saisie doit attendre — un enregistrement prématuré crée une fiche publique qui affirme une conformité non encore acquise, ce qui expose l'entreprise plus qu'une absence temporaire de fiche.
Un système RH déployé en France, en Allemagne et en Pologne doit lister les trois pays, et cette liste doit être mise à jour à chaque extension géographique. C'est un champ que beaucoup d'entreprises renseignent une fois puis oublient : or l'obligation de tenue à jour est continue, pas ponctuelle.
Si le système RH est suspendu le temps d'une correction de biais, le statut doit basculer sans délai, et non pas seulement en interne. Un système signalé « sur le marché » alors qu'il est en réalité retiré est l'un des écarts que les autorités de surveillance du marché repèrent le plus facilement, en croisant la fiche publique avec des signalements d'incidents ou des plaintes.
Plusieurs erreurs reviennent systématiquement dans les dossiers RH et crédit :
Pour les équipes qui pilotent plusieurs systèmes RH ou crédit en parallèle, la bonne pratique consiste à tenir un registre interne miroir, structuré selon les mêmes champs que la base européenne, revu à chaque changement de version ou de périmètre géographique. C'est ce registre interne qui permet de détecter un écart avant qu'un client, un candidat ou une autorité ne le fasse à votre place.
Le report du calendrier au 2 décembre 2027 pour les systèmes de l'annexe III laisse un délai réel, mais court au regard de la charge de travail. Cartographier les systèmes RH et crédit existants, aligner les descriptions de finalité entre marketing et documentation technique, et clarifier le statut fournisseur ou déployeur de chaque outil sont des chantiers qui prennent des mois, pas des semaines. Les équipes qui commencent ce travail dès maintenant arriveront à l'échéance avec un registre déjà cohérent, plutôt qu'avec une saisie précipitée sous pression réglementaire.
Pour structurer cette cartographie et sécuriser la classification de vos systèmes avant la saisie dans la base européenne, notre offre d'accompagnement réglementaire couvre l'audit préalable, la rédaction des fiches et la mise en cohérence avec la documentation technique. Notre expertise en gouvernance de l'IA s'appuie sur ce même travail de cartographie mené pour des systèmes RH et crédit déjà en production.
Nous utilisons des cookies de mesure d'audience et de suivi publicitaire pour comprendre la fréquentation du site et l'efficacité de nos annonces. Rien n'est déposé sans votre accord. En savoir plus